VPN 元数据：每个观察者究竟还能看到什么

加密隐藏的是你发送了什么，而不是你发送了某个东西这件事。大小、时序和外部地址仍然对路径上不同位置的各方可见。每个观察者拿到的切片不同，隐私问题在于这个切片能支撑什么结论。在判断暴露意味着什么之前，先点明究竟是谁在看。

先点明观察者，再下结论

在典型隧道中，有四个位置值得注意：你的接入网、VPN 运营商的出口、任何接收域名的解析器，以及目的地本身。每个位置看到的来源、目的地、名称、大小和时间组合都不同。关于 VPN 会暴露什么的笼统说法，几乎总是在说其中一个位置。

在分析中要把它们分开。混为一谈会产生无法检验的结论。观察者的位置也决定了一旦收到法律要求，对方究竟能拿到什么。

内容与目的地是两个不同的问题

加密保护连接的载荷，HTTPS 又在自己的交互中再加一层保护。但目的地地址属于路由信息，出口必须向其转发。DNS 解析器会收到它所要应答的域名，其他主机名的可见性取决于所用的协议。假设每个中间人都能看到完整 URL，与假设谁都看不到任何东西一样错误。

账户标识、设备标签和诊断 ID 往往存在于管理系统而非数据包字段中。协议规范并不描述围绕它的分析。一条对接入网隐藏地址的隧道，仍可能把地址暴露给出口，因此同样的元数据在不同人手里价值不同。

可观察并不等于被保留

端点可以处理数据以投递流量，而不保留其历史。它也可以在有限期限内保留诊断信息、汇总总量或按账户的记录。这些是后果不同的不同行为，而匿名一词很少能区分它们。经过服务器的数据包不会自动留下它去了哪里的记录。

要问清楚：收集什么、是否与账户关联、保留多久、谁能读取。全体用户的汇总回答的，是与绑定单一身份的带时间戳记录不同的问题。这一区分正是隐私政策与营销话术的差别。

在比较供应商之前，先把答案写下来。口头保证不是保留政策。

就保留问题提出具体问题

在比较产品之前，把问题写成书面形式。哪些事件被记录、以何种粒度、保留多久、由谁控制？数据是被聚合、抽样，还是按计划删除？如果被要求，运营商能否给出按账户的历史？

这些答案应当进入决策记录。没有它们，比较就只是口号之争。

RFC 6973 隐私指南为这些问题提供了有用的框架，因为它把数据最小化与保留、二次利用区分开来。列出出口所在国家的清单告诉你在哪里连接。它并没有说明该运营商究竟存储了什么。